原來你是這樣一個IOT：談IT/OT環境的安全挑戰
近年來，製造業和基建設施受到的攻擊日益增多——電力、天然氣、自來水，甚至核電裝置都受到了黑客多種的攻擊。不同於IT系統的安全問題，最大的威脅可能是商業業務的停滯以及資訊的洩露；OT環境一旦受到攻擊，就很有可能會對環境以及人生帶來直接的傷害。隨著攻擊者逐漸將攻擊目標轉移到了OT上，安全也必須緊跟而上，確保OT的安全。另外，我們同樣需要注意到，OT與IT是不分離的；因此， 製造業和基建的安全訴求是IT與OT融合的安全訴求。
OT意為Operational Technology，主要用於生產環境中，對工廠、基建設施中的自動化控制系統提供支援，監測生產環境以及確保正常生產的軟硬體技術。
OT/IT面臨的安全風險
OT/IT環境面臨的風險是多樣性的，攻擊者的攻擊目標也是涵蓋多個方面的，主要有以下一些方向：
1. OT/IT本身複雜的環境：OT很難單獨於IT存在，OT的環境往往伴隨著IT系統與裝置。因此，對於整個環境，互連的裝置更多，也就容易暴露更多的攻擊點。
2. OT與IT並不完全相同的安全訴求：對於IT系統，安全注重於機密性、完整性以及可用性上；而對於OT環境，安全更重要的是對於外在世界的安全性和可靠性、過程可用性、可預測性、生產資料的可靠性以及非破壞性。因此，對於製造業和基建等安全，需要考慮的是IT和OT相結合的安全，而不是單單一方面的解決方案。
3. OT系統自身的缺陷：很多關鍵的基礎設施系統都是持續建立的，因此對這些系統進行補丁以及升級會很困難，這些基礎設施的安全性會越來越弱。而過去的事件中可以發現，工業控制系統在逐漸成為受到攻擊的關鍵點，並且越來越容易受到攻擊者攻擊。
4. 工控系統資料的安全性：工控系統產生的資料是很多攻擊者的攻擊目標——和IT系統中很多的個人資訊一樣，這些都是敏感資料。OT環境下同樣需要保護敏感資料。但是，對於安全廠商來說，面臨的一大挑戰就是要去收集和分析這些資料，才能對他們進行保護。而這對於很多傳統的網際網路安全公司，可能不是那麼容易。
5. 針對OT人員的攻擊：和IT環境一樣，OT環境中的工作人員同樣會成為各類社會工程學、釣魚攻擊的目標。攻擊者期望目標可能是企業的財政，也很可能是製造商的商業機密、內部資訊等等。
OT安全的幾大根源
根據上述的幾點，我們繼續深究製造業和基建的安全隱患，可以發現，OT/IT環境的問題根源來自以下幾點：
1. 大約 50% 的工控系統漏洞屬於二級漏洞（針對感應器的攻擊，改動他們的讀數或者相關數值設定）。而即使如此，這些漏洞依然被標記為了“高危”。另外，攻擊者也會通過攻擊工控系統逐漸攻入整個核心系統，造成更大的影響。
2. 在針對OT系統的攻擊當中，有 74% 的攻擊採用了“注入意外專案”的攻擊方式。與IT相關的攻擊進行類比來看，這種攻擊類似於SQL%E6%B3%A8%E5%85%A5/">SQL注入：通過在命令中惡意輸入其他資料來嘗試擾亂與控制系統。安全廠商和企業顯然要針對這個攻擊進行防護，對指令的輸入等進行監控和過濾。
3. 攻擊者主要來自於外部人員——超過 90% 的攻擊來自於外部人員。這些外部人員包括資金充裕的黑客、有組織的犯罪集團和民族國家攻擊者等。同時我們必須注意到，在剩下的9%的攻擊人員中，有5%是因為疏忽的內部人員以及4%的惡意人員。
OT安全的解決理念
在我們意識到了製造業和基建設施這些安全問題的核心後，我們就可以著手去解決這些和新聞。儘管OT環境與IT環境有一定的差異，而相互的融合又使得具體的落地方案更加複雜。但是，安全本身的理念是相通的，不同的只是具體的落地解決方案和採用的技術：
1. 集中式補丁修復，注意資料輸入“衛生”：既然知道了現在最多的攻擊型別是注入型攻擊，那麼企業就應該進行相對應的防禦。而針對於這類攻擊，最直接的防禦方式就是對系統進行補丁升級與漏洞修復。然而，正如前面所言，工控系統的問題之一是裝置繁多，設計相對封閉與獨立，不易於統一進行升級，那麼在選取相關的安全廠商時，則需要尋找有相對能力的安全廠商。
2. 終端與事件的響應：工控資料的複雜性造成了對於注入型攻擊的識別困難，但是終端需要通過快速識別和檢測注入來應對這種最主流的攻擊方式。另一方面，這些OT系統本身的性質決定了他們無法隨意地進行阻斷或者停止服務來阻止攻擊的擴散。所以，企業需要一支專業的響應團隊來應對事件的發生。
3. 威脅情報進行攻擊預防：考慮到很多的工控攻擊是來自於有組織的外部攻擊者，如果企業有威脅情報進行輔助，就能在攻擊發生前意識到自己面臨的風險，從而進行相對應的防護。
4. 敏感資訊保護：製造業除了維持日常生產的安全，還要對自己的商業機密進行額外的保護。因此，企業需要一套對資料資產的保護措施，從資料的生成、儲存、使用、共享、歸檔與銷燬，建立完善的資料保護制度，並根據相對應的要求，從技術上對資料進行保護。
IBM的製造業解決方案
根據以上的解決問題的思路，我們這裡以IBM為例，看一下IBM是如何進行OT環境的防護的：
1. 各個保護物件的防禦點：工控安全的第一保護物件依然是整個OT環境，因此IBM擁有不同的工具，對不同領域進行了防禦：
- Check Point：Check Point是一款低成本的網路通訊感測器。它可以通過檢測網路流量資料來發現SCADA協議中的異常。
- Verve Industrial：Verve Industrial是一款端點保護工具。對OT環境中的終端裝置進行防護。
- Security Matters：Security Matters則是對網路異常狀態的檢測工具。它支援廣泛的工業協議，從而可以應對大部分複雜的OT環境，能檢測到配置錯誤的裝置。
2. 各個防禦點的整合者QRadar：OT環境是整個環境，僅僅靠數個防禦點來保護是遠遠不夠的——因此需要IBM的SIEM系統QRadar對各個防禦點進行整合，從而實現整個防禦體系的聯動。QRadar不僅能結合各個不同防禦工具的日誌，幫助安全運維人員做出更好的分析，更能結合各個防禦點，讓各個防禦系統不再是單兵作戰，而是能聯動形成一個防禦網——用防禦的體系來應對一個環境。更重要的是，QRadar和IT/OT/IoT的合作伙伴進行整合，可以持續地對OT系統進行防護——包括困難的系統升級與補丁功能。
3. 威脅情報IBM X-Force Exchange：IBM的一個重要的優勢在於他們強大的威脅情報能力。X-Force Exchange每天監控超過150億的安全事件、從2.7億個終端實時獲取全球威脅情報、監控超過250億網頁和圖片、擁有全球最大的漏洞資料庫之一以及超過800萬的垃圾郵件外加網路釣魚攻擊深度情報和超過86萬的惡意IP地址信譽庫。通過大量的威脅情報，製造業企業和基建設施可以提前瞭解到自己是否會受到哪些黑產的攻擊。
4. Resilient響應平臺：如果說之前的方案都是針對事件發生前對系統的防護，那麼Resilient安全事件響應平臺則是專門針對安全事件的專家。很多製造業以及關鍵基礎設施缺乏自身專業的安全團隊，因此在面對攻擊時往往缺乏有效的應急手段。而Resilient平臺則可以幫助網路安全團隊協調其響應流程的平臺，可以解決由於網路安全技能短缺，安全警報不斷增加，難以完成的事件響應流程和混亂的監管環境等問題。
安全牛評
如今的環境當中，攻擊者的目標已經逐漸從IT環境轉移到OT環境。對於製造業和關鍵基礎設施——尤其是關鍵基礎設施企業，保護自身的OT環境已經變得尤為重要。OT環境不僅僅影響到企業自身的生產與安全，很多關鍵基礎設施更是與社會和國家安全息息相關。OT環境很難離開IT環境，使得安全方案變得更為困難。但是，無論是從合規角度，還是從自身生產利益角度，或者是最重要的社會角度，OT環境的安全都必須被放在極高的位置。OT環境的保護不應該成為孤立的保護，需要各個環節的聯動協同，必須通過“體系”來應對“環境”，而不是各個防禦點單兵作戰。因此，相關企業在進行安全的防護時，也需要綜合廠商的協同能力進行選擇。